無料脆弱性検査ツール「Redmine Security Scanner」でRedmineサーバの健康診断

2017-12-18 01:00 • 分類: news • 前田剛

Ad: Redmineのクラウドサービス My Redmine で、いつでもどこでもプロジェクト管理

（この記事は Redmine Advent Calendar 2017 の18日目の記事です）

「Redmine Security Scanner」は、運用中のRedmineに既知の脆弱性がないかチェックできる無料のWebサービスです。Redmineのクラウドサービスを運営しているドイツの企業「Planio」が提供しています。

指定したURLのRedmineのバージョンをHTMLやCSSを解析することで検出し、そのバージョンに対する既知のセキュリティ脆弱性の有無を表示します。また、TLS/SSLなどWebサーバの設定が適切かどうかも確認します。

インターネットからアクセスできるRedmineを運用しているとセキュリティが保たれているか気になります。無料のメールサービス「Redmine News」などを活用して最新リリースの情報を入手するとともに、「Redmine Security Scanner」で定期的に検査を行うことは、セキュリティの維持に有効です。

使い方

「Redmine Security Scanner」のWebサイトで検査対象のRedmineのURLを入力して「Check」をクリックすれば数十秒から1分程度で検査結果が表示されます。

検査対象のRedmineへのログインは行われず、また検査によるHTTPリクエストは40〜50件程度でありサーバ負荷は極めて小さいので、実運用中のRedmineに対しても安心して検査できます。

注意: 第三者の管理下にあるRedmineに対する検査は行わないでください。 Redmine Security Scannerの利用規約 (Terms of use) では、自分が管理しているRedmineに対する検査のみが許されています。

結果の表示

検査結果は7段階で評価されます。もし評価が A+ 以外であれば問題点が詳しく指摘されます。特別な理由が無い限り A+ になるよう設定しましょう。

評価	問題点
A+	問題無し。Redmineのバージョンは最新で、TLS/SSLで通信が保護され、またセキュリティに関連するHTTPヘッダは適切に設定されている
A	セキュリティに関する推奨のHTTPヘッダの設定が一部行われていない
B	自己署名証明書など信頼できないサーバ証明書が使われている
C	TLS/SSL無し（HTTP）でのアクセスが行える
D	Redmineのバージョンが古く、深刻度「low」（低）の既知の脆弱性がある
E	Redmineのバージョンが古く、深刻度「moderate」（中）の既知の脆弱性がある
F	Redmineのバージョンが古く、深刻度「high」（高）の既知の脆弱性がある

インターネットからアクセスできないRedmineサーバの脆弱性の調査

社内ネットワークなどインターネットから直接アクセスできない環境のRedmineサーバは残念ながらRedmine Security Scannerでの検査はできません。しかし、Redmineのバージョンがわかれば、そのバージョンの既知の脆弱性をRedmine Security Scannerで調べることができます。

ある特定のRedmineのバージョンの既知の脆弱性を知るには

https://plan.io/redmine-security-scanner/versions/バージョン番号

にアクセスしてください。例えば、Redmine 3.4.2 の場合は以下のURLにアクセスします。

https://plan.io/redmine-security-scanner/versions/3.4.2

Redmineのバージョンの確認方法は下記ページを参照してください。

使用中のRedmineのバージョンを確認する — Redmine.JP